Trojan-Downloader.JS.Agent.fqy

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, которая без ведома пользователя скачивает на компьютер другое программное обеспечение и запускает его на исполнение. Является HTML-страницей, содержащей сценарии языка JavaScript. Имеет размер 2698 байт.

Деструктивная активность

После активации вредонос, используя сценарии Java Script, выполняет дешифровку своего кода и запускает полученный деструктивный функционал на выполнение. Используя уязвимость, которая возникает при некорректной обработке функцией MPC::HexToNum escape-последовательностей в URL приложений Microsoft Windows Help и Support Center (helpctr.exe) (MS10-042, CVE-2010-1885), а также при помощи ActiveX объекта "MSXML2.XMLHTTP", вредонос выполняет загрузку файла, который располагается по следующему URL:

http://69.***.78/iwjvbqjwxvcoyokm5.vbs 

и сохраняет его в каталоге хранения временных файлов текущего пользователя под именем:

%Temp%\l.vbs

Файл имеет размер 987 байт.

Далее, используя командную строку, эксплоит запускает на выполнение загруженный файл, а также завершает процесс центра справки и поддержки Microsoft Windows:

helpctr.exe

При помощи скрипт-файла "l.vbs" вредонос выполняет загрузку файла, который находится по ссылке:

http://69.***.78/foj.php?i=3 

На момент создания описания ссылка не работала. Загруженный файл сохраняется в каталоге хранения временных файлов текущего пользователя с именем:

%Temp%\exe.exe

Затем загруженный файл запускается на выполнение. После этого вредонос завершает процессы:

wmplayer.exe
realplay.exe

и удаляет файлы:

%Temp%\l.vbs
%Temp%\exe.exe

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Очистить каталог Temporary Internet Files, который может содержать инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?):

   %Temporary Internet Files%

3. Установить обновления:
   http://www.microsoft.com/technet/security/bulletin/ms10-042.mspx
4. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).